数据安全每周观察国家网络身份认证公共服务管理办法公开征求意见

近日，为强化公民个人信息保护，推进并规范国家网络身份认证公共服务建设应用，加快实施网络可信身份战略，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国反电信网络诈骗法》等法律法规，公安部、国家互联网信息办公室等研究起草了《国家网络身份认证公共服务管理办法（征求意见稿）》（简称“《管理办法》”），面向社会公开征求意见。

当前，网民个人身份信息被过度收集使用问题非常突出，身份证号码、手机号码在网络空间被滥用，部分互联网平台以落实实名制、提供民生政务服务为由，要求用户提供个人身份信息。在此过程中，互联网平台超范围收集、违规留存使用用户个人身份信息，个人信息及数据泄露的情况时有发生。个人身份信息大面积泄露，个人隐私泄漏事件频发，严重危及人民群众生命财产安全。

《办法》鼓励互联网平台接入公共服务，支持用户使用“网号”“网证”登记、核验真实身份，并作为其履行用户真实身份核验和个人信息保护等法定义务的一种方式。对自愿选择使用“网号”“网证”的用户，除法律法规有特殊规定或者用户同意外，互联网平台不得要求用户另行提供明文身份信息，最大限度减少互联网平台以落实“实名制”为由超范围采集、留存公民个人信息。《办法》明确了身份核验结果信息的“最小化提供原则”和依法处理要求，对依法需要核验用户真实身份但无需留存用户法定身份证件信息的，公共服务平台应当仅向互联网平台提供核验结果；对于依法确需获取、留存用户法定身份证件信息的，经用户单独同意，公共服务平台应按照“最小化原则”向互联网平台提供必要、相关的明文信息。

二、北数所发布《个人信息授权运营管理办法（试行）》

随着数据要素市场建设的快速发展，个人信息的合规利用与有效保护已成为社会关注的焦点。近日，北京国际大数据交易所按照《中华人民共和国个人信息保护法》的框架，在北京市相关委办局的指导下，发布了《个人信息授权运营管理办法（试行）》，旨在规范个人信息授权运营管理，保障个人信息主体的知情权、决定权和收益权，同时促进个人信息的合规流通。

本办法旨在落实《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》中“建立健全个人信息数据确权授权机制”和中共北京市委、北京市人民政府印发的《关于更好发挥数据要素作用进一步加快发展数字经济的实施意见》中“推进建立个人数据分类分级确权授权机制”相关要求，进一步巩固北京数据基础制度先行区工作成果，规范个人信息授权运营管理，确保个人信息主体对自身数据使用情况享有的知情权、决定权和收益权，推动数据的合法、合理利用及价值实现，根据《中华人民共和国个人信息保护法》要求，针对个人信息主体及其相关方在数据授权平台上进行的数据授权行为。

《办法》强调，个人信息处理者必须确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失。在数据授权流通交易全部环节中，个人信息在存储和传输过程中应当进行加密。数据传输应采用安全协议，如传输层安全协议（Transport Layer Security）或安全套接层协议（Secure Sockets Layer），确保在互联网传输过程中的安全性。对于个人敏感数据，如个人财务信息或个人身份信息，应采用高级别的加密措施和专门的安全通道。

三、广州出台公共数据授权运营管理暂行办法并公开征求意见

近日，广州市政务服务和数据管理局发布关于公开征求《广州市公共数据授权运营管理暂行办法（征求公众意见稿）》意见的公告。意见稿指出，公共数据运营平台是本市公共数据授权运营的统一通道。公共数据运营机构与数据商功能分离，公共数据运营机构不得从事可能影响数据商公平公正准入的活动及应由数据商开展的相关营利性活动。

《办法》根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》《广东省公共数据管理办法》等相关要求制定，旨在规范公共数据授权运营管理，推进公共数据开发利用，充分释放公共数据价值。

在安全责任方面，《办法》指出，市公共数据主管部门联合数源部门、市政务大数据管理机构、公共数据运营机构建立公共数据授权运营全流程可追溯的安全监管体系，建立网络安全、数据安全、个人信息保护、商业秘密保护的协同监管机制。公共数据授权运营过程中落实“谁管理谁负责、谁使用谁负责”的数据安全责任制。为进一步保障数据安全，《办法》还明确，除从公开途径合法获取或者法律法规授权公开的公共数据外，原始公共数据不得从公共数据运营平台直接导出。不可导出可通过可逆模型或算法还原出原始公共数据的公共数据产品和服务。涉及个人信息、商业秘密的公共数据，应经过脱敏、脱密处理或经相关数据所指向的数据主体依法授权同意后使用。

监管动态

一、济南房产网等25款App被通报

近日，山东省通信管理局发布关于APP侵害用户权益问题的通报（2024年第7批）。

据悉，为保护人民群众的合法权益，山东省通信管理局依据《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规，按照工业和信息化部《关于进一步提升移动互联网应用服务能力的通知》要求，持续开展APP侵害用户权益专项整治工作，常态化组织专业机构对该省各类APP进行合规性检测，对违规APP书面要求限期整改。对截至8月12日还未按要求完成整改的25款存在问题的APP予以通报。并要求上述25款APP开发运营者务必在8月19日前完成整改与情况反馈工作，如再次逾期仍未整改到位，该局将视情采取下架、关停、行政处罚等措施。

二、川渝9款APP违规

骚扰电话、垃圾短信频频出现，到底是谁泄露了我们的隐私？近日，川渝通信管理局组织第三方检测机构对川渝两地主流应用商店移动互联网应用程序(APP）进行了检查，发现9款APP违规未按要求完成整改。

9款违规APP为：榴莲校园、懒汉圈婚恋、新视界vision、里邻生活、巴蜀云校、掌上孕育医生端、全球行代驾、沂百分、渝地云。所涉问题为，违规收集个人信息、超范围收集个人信息、未明示个人信息处理规则、APP强制、频繁、过度索取权限等。

重庆市市场监管局提醒切记：要通过官方渠道下载APP，谨慎授权APP获取各种权限，不随意连接陌生WiFi，注册登录时谨慎提交个人信息，谨慎向APP内的第三方链接提供个人信息，也不要通过第三方链接或页面直接下载安装一些不明来源的App。消费者认真阅读其用户协议和隐私政策说明，不随意开放和同意不必要的隐私权限，不随意输入个人隐私信息，定期维护和清理相关数据，避免个人隐私信息被泄露。

三、微软披露Office最新可能导致数据泄露的零日漏洞

近日，微软披露了 Office 中一个未修补的零日漏洞，如果被成功利用，可能导致敏感信息在未经授权的情况下泄露给恶意行为者。

该漏洞被追踪为 CVE-2024-38200（CVSS 得分：7.5），被描述为一个欺骗漏洞。微软在一份公告中提到：在基于网络的攻击场景中，攻击者可以托管一个网站，或利用一个接受或托管用户提供内容的受攻击网站，该网站包含一个特制文件专门利用该漏洞。但是，攻击者无法强迫用户访问该网站。相反，攻击者必须诱导用户点击一个链接，通常是通过电子邮件或即时通信信息中的诱导方式，然后说服用户打开特制文件。

CVE-2024-38200的正式补丁预计将于8月13日正式发布。不过微软公司表示，他们已经确定了一种替代修复的方法，并已从2024年7月30日起通过「功能飞行」（Feature Flighting）启用了该修复方法。该公司还指出，虽然客户已经在所有支持版本的微软Office和微软365上得到了保护，但为了最大程度的规避安全风险，用户应在最终版本的补丁发布后立即更新。

在披露该漏洞的同时，微软还表示其正在努力解决CVE-2024-38202 和 CVE-2024-21302两个零日漏洞，这些漏洞可能被利用来「解除」最新 Windows 系统的补丁，并重新引入旧漏洞。

上周，Elastic 安全实验室披露Windows智能应用控制（Smart App Control）和智能屏幕（SmartScreen）存在一个设计漏洞，该缺陷允许攻击者在不触发安全警告的情况下启动程序，至少自2018年以来一直在被利用。智能应用控制是一项基于信任的安全功能，它使用微软的应用智能服务进行安全预测，并利用Windows的代码完整性功能来识别和阻止不受信任的（未签名的）或潜在危险的二进制文件和应用程序。Elastic安全实验室认为，这一漏洞多年来一直被滥用，因为他们在VirusTotal中发现了多个利用此漏洞的样本，其中最早的提交时间超过六年。

四、金融巨头LoanDepot因勒索攻击损失近2亿元，超1600万用户数据泄露

近日消息，美国抵押贷款巨头LoanDepot 6日报告称，与最近的勒索软件攻击相关的成本已达到近2700万美元。

这次网络攻击被曝光时，公司为了应对攻击导致数据被加密的情况，选择将一些系统下线。几周后，LoanDepot通知当局，超过1600万人的个人信息可能已被泄露，数据泄露影响了姓名、地址、电子邮件地址、电话号码、出生日期、社会保障号码和金融账号。

LoanDepot的最新财务报告显示，该事件给公司造成了2690万美元（约合人民币1.92亿元）的成本。该金额包括“调查和补救网络安全事件的成本，客户通知和身份保护的成本，以及专业费用（包括法律费用、诉讼和解费用以及佣金担保）”。

业界之声

一、深化网信领域改革以网信事业高质量发展助力中国式现代化——访中央网信办主任庄荣文

近期，党的二十届三中全会审议通过的《中共中央关于进一步全面深化改革、推进中国式现代化的决定》对健全网络综合治理体系作出系统部署。在记者围绕新时代网信领域改革成效如何？如何落实《决定》对完善生成式人工智能发展和管理机制提出的要求？等问题采访中央网信办主任庄荣文时，他强调：

要建立健全网络安全防护体系，强化关键信息基础设施安全防护、数据安全管理和个人信息保护，网络安全保障体系和能力建设持续提升。守牢安全底线，防范滥用风险，在分类分级、安全测试、应急响应等方面丰富完善安全标准体系，引导推动大模型提升安全能力水平。指导相关平台企业合法合规向网民提供优质服务，防范技术滥用带来的个人数据泄露、虚假信息生成、知识产权侵权等风险。

二、国家信息安全漏洞库漏洞技术研究联盟正式成立

为深入学习贯彻习近平总书记关于网络强国的重要思想，落细落实国家漏洞治理工作整体部署，进一步强化漏洞治理生态，由中国信息安全测评中心指导、广东省网络空间安全产业创新联合会主办、广州锦行网络科技有限公司承办的国家信息安全漏洞库漏洞技术研究联盟（以下简称“联盟”）成立仪式于8月15日在广州成功举办。

随着互联网的普及和数字化转型的加速，网络安全威胁日益复杂多变，漏洞已成为网络攻防的核心，是网络空间重要战略资源。据国家信息安全漏洞库（CNNVD）统计，近年来国内外主流应用软件、操作系统和网络设备等暴露出的安全漏洞数量持续攀升，给国家安全、社会稳定和人民财产安全带来了严峻挑战。在此背景下，联盟成立具有十分重要的意义。

三、全国首张数据资产入表保险单落地

近日，济宁市召开数据要素市场化配置改革现场发布暨培训交流会。会上济宁市兖州区政府与天道金科、太平科技保险共同启动“数据资产入表保险”试点探索工作，并在会议现场颁发了全国第一张数据资产入表保险保单。企业数据资产入表出现入表失败或未实现预期价值时，企业将获得相应理赔，为企业实施数据资产入表装上了“安全阀”和“减震器”。

数据资产具有脆弱性、集中性，大量数据常集中存储在特定的服务器或数据中心。一旦这些存储设备遭受物理损坏（如硬盘故障）、逻辑损坏（如软件错误）、恶意攻击（如病毒和黑客攻击）或自然灾害，可能导致大量数据同时丢失。作为一款综合性的数据保险产品，本次签约的产品目前涉及数据资产安全保障、数据交易质量和交易资金安全保障、数据产权维权保护、数据资产融资增信等全方位保障内容，且包含多维度数据安全风险评估及完善建议、数据维权法律支持、数据资产价值评估等一系列专业的增值服务。返回搜狐，查看更多

责任编辑：

【2024澳门天天开好彩大全免费】【新澳天天开奖资料大全最新】

【2024年天天开好彩资料】 【新澳天天开奖资料大全最新54期】

【2024澳门天天开好彩大全53期】 【澳门天天开彩期期精准】

【2024全年资料免费大全】 【新澳天天开奖资料大全】

【澳门内部最精准免费资料】 【2024澳门天天开好彩大全】

【2024年新奥门天天开彩免费资料】 【新澳2024今晚开奖资料】【澳门王中王100%的资料155期】

点赞数: 0